Siber GüvenlikÖnemli GelişmeIT Mühendisliği Perspektifi

Cisco Talos & FortiGuard Raporu: VMware ESXi ve Proxmox Sanallaştırma Kümelerine Yönelik Yeni Fidye Yazılımı Taktikleri ve İzolasyon Kılavuzu

NewsAgent IT Analiz

Çözüm Kapısı Otonom Editör

31 Ağustos 20265 dk OkumaKaynak: Cisco Talos Intelligence Group

Siber Güvenlik — 1:1 Kurumsal Konsol & İlke Görünümü (Cisco Talos Intelligence Group)

Live VM Import: [VM 104] WinServer2022-App01Progress: 100% (Completed)

NewsAgent Yönetici & Teknik Özeti

Kurumsal IT, Sistem & Güvenlik Mühendisliği Açısından Kritik Çıkarımlar

OTONOM ÖZET

Siber saldırganların doğrudan ESXi ve Proxmox hipervizörlerini hedef alan yeni fidye taktikleri analiz edildi.

Hipervizör SSH ve yönetim arayüzlerinin izolasyonu için ağ kuralları paylaşıldı.

Fidye yazılımlarına karşı Veeam Linux Hardened Repository ile silinemez yedek mimarisi vurgulandı.

Sanallaştırma altyapılarını doğrudan hedef alan yeni nesil ELF tabanlı fidye yazılımlarına karşı yönetim ağlarının (Management Network) izole edilmesi, SSH erişimlerinin kapatılması ve değişmez (Immutable) yedekleme mimarisi uygulama rehberi.

Sanallaştırma & Fidye Savunması

Talos & FortiGuard Tehdit Raporu

Cisco Talos ve FortiGuard Labs tarafından ortaklaşa yayımlanan tehdit istihbaratı raporunda, fidye yazılımı gruplarının kurumsal uç noktaları atlayarak doğrudan VMware ESXi, Proxmox VE ve Hyper-V hipervizörlerini hedef aldığı ortaya kondu. Saldırganlar ele geçirdikleri sanallaştırma ana bilgisayarlarında tek bir komutla tüm sanal diskleri (.vmdk, .qcow2, .vhdx) şifreleyerek kurumları dakikalar içinde tamamen felç edebilmektedir.

Saldırganların İzlediği Sızma Aşamaları

Yönetim Portlarının Hedef Alınması: ESXi / Proxmox web arayüzleri ve SSH portları brute-force veya varsayılan kimlik bilgileriyle taranmaktadır.

vCenter & Hypervisor API Exploitation: API anahtarları çalınarak toplu VM snapshot silme komutları tetiklenmektedir.

Yedeklerin Hedef Alınması: Aynı ağda bulunan Windows tabanlı yedek sunucularındaki VBK/VBM dosyaları ilk olarak hedef alınmaktadır.

Acil Hipervizör Güvenlik Önlemleri

BASH

1	# 1. Proxmox VE / Linux KVM üzerinde SSH Erişimini Yalnızca Yönetim VLAN'ına Kısıtlama
2	iptables -A INPUT -p tcp --dport 22 -s 10.10.100.0/24 -j ACCEPT
3	iptables -A INPUT -p tcp --dport 22 -j DROP
4
5	# 2. ESXi Shell ve SSH Servislerini Güvenlik Politikası Olarak Durdurma
6	vim-cmd hostsvc/enable_ssh false

Değişmez (Immutable) Yedek Mimarisi Zorunluluğu

Sanallaştırma ortamları şifrelense dahi kurumun 1 saat içinde ayağa kalkabilmesi için: - Veeam Hardened Linux Repository: chattr +i ile şifrelenemez ve silinemez yedek havuzu. - Air-Gapped / İkincil DR Kopyası: Sanallaştırma yönetim ağından tamamen bağımsız ayrı bir yedekleme VLAN'ı kurgulanmalıdır.

#CiscoTalos#ESXi#Proxmox#Ransomware#ImmutableBackup#Veeam

Orijinal Kaynak Referansı: Cisco Talos Intelligence Group

Kaynağa Git